CN107636675A

CN107636675A - 用于控制设备的可用性的模块

Info

Publication number: CN107636675A
Application number: CN201580077826.0A
Authority: CN
Inventors: D·贝尔泰特
Original assignee: Sony Corp
Current assignee: Sony Corp
Priority date: 2015-03-19
Filing date: 2015-09-18
Publication date: 2018-01-26
Anticipated expiration: 2035-09-18
Also published as: EP3272140B1; WO2016146209A1; CN107636675B; US20160277394A1; US9578020B2; EP3272140A1

Abstract

一种用于控制设备(1)的处理单元(2)的可用性的模块(10)，该模块包括：用于与蜂窝网络通信的调制解调器(11)；以及连接至所述调制解调器用于蜂窝网络验证和接入的接入电路(12)，该接入电路包括安全元件或者连接至安全元件(12)，其特征在于：状态机配置为根据多个可用性状态中的一个对所述设备进行控制，该多个可用性状态包括至少正常状态和告警状态，其中在所述告警状态中所述处理单元的操作被抑制。

Description

用于控制设备的可用性的模块

技术领域

本发明涉及用于控制设备可用性的独立模块，具体地用于远程控制这种设备的可用性。更具体而言，可以连接至该模块以阻止这种设备的处理单元的完全操作。

背景技术

与任何类型的有价值设备有关的一个老问题是由于意外或盗窃丢失该设备的风险。必须要承认的是，只要设备完全可用并且所有者的身份未知，丢失和被盗的设备就非常可能不会归还给其合法所有者。对于配置成可通信地连接至网络的制造产品而言，例如计算机和移动电话，提出了与克服该问题的手段有关的各种建议。大多数现有的保护和跟踪解决方案是作为预防性手段内置的，其需要由用户激活以保护设备。现有的基于密码的解决方案在某种程度上可以保护设备，但仍能够被破解。使用账户和连接性的现有的跟踪解决方案依赖于许多先决条件才能够可操作和有效果。其他在先的方案包括以下公开。

US8509737描述了配置为对电信网络进行验证的安全模块。该安全模块包括用于使应用模块的可用性禁止的锁定模块、用于使应用模块的可用性重新生效的解锁模块、以及用于根据能够以验证方式向特定通信网络(2)指派的接收数据来激活解锁模块的控制模块。

US8812837涉及包括由包括至少一个处理器的通用集成电路卡(UICC)存储用于将通信设备锁定到网络提供商的数字根证书，和响应于从证书核准方接收到所存储的数字根证书的撤销指示而禁止通信设备的激活。

WO2012085593公开了一种智能卡，其嵌入蜂窝通信设备(eUICC)内或者在蜂窝通信设备内不可访问，锁定到特定运营商，同时使得要改变的运营商能够合法地提出口令。描述了一种使用策略控制表的方法，并且通过维持该策略控制表，可以在智能卡下载/激活任意运营商订购，但将防止设备访问期望的运营商，因为该访问与锁定规则冲突。

GB2445778示出了一种移动通信设备，其包括用于存储设备的唯一标识符的存储器和用于确定设备锁定状态的处理器。如果处理器确定设备被锁定，则设备向服务器发送包括该设备的唯一标识符的用于工作在非锁定模式的许可请求。服务器将该唯一标识符与存储在数据库中的多个设备的多个唯一标识符进行比较，其中每个标识符与锁定状态相关联。设备从服务器接收设备的锁定状态，并依赖于所确定的锁定状态控制设备的操作。

US8744403提供了一种用于智能卡的远程控制的方法和系统。该方法包括：智能卡管理平台从用户接收锁定或解锁智能卡的请求，并且智能卡管理平台根据经由移动网络平台的请求执行与终端侧的交互处理，以使得终端侧能够执行对智能卡的锁定或解锁。

WO2014092385公开了一种从多个配置文件中选择特定配置文件的方法和使用该方法的装置。在安装有eUICC的终端中，eUICC包括至少一个配置文件，其中该一个或更多个配置文件中的每个使得用户终端能够与支持至少一个网络提供商的用户管理实体通信。因而，可以从该一个或更多个配置文件中选择一个特定的配置文件，并且网络可以使用所选择的配置文件与特定移动通信提供商连接。

US7873382描述了包括远程锁定和控制功能的移动通信装置。在装置被盗或丢失后，能够通过发送例如SMS消息的锁定命令而远程锁定该装置。该装置还可以被控制以上传信息使得用户能够获取存储在该装置中的有价值信息。该装置包括用于控制包括接收消息在内的装置的操作的控制单元和寄存器。该装置进一步包括锁定装置，其能够检测所接收的消息中的代码，并响应于检测到锁定代码而向控制单元发送锁定命令以使得移动通信终端至少部分地不可操作。

发明内容

因此，现有技术提供了用于保护配置成工作在移动通信网络中的移动终端的不同解决方案。然而，不是这种通信终端的许多设备实际上也容易遗忘或被盗。本发明的一般目的是能够控制有价值的设备，其可包括使得这种设备的丢失或失去控制的风险最小化。

根据第一方面，提供了一种用于控制设备的处理单元的可用性的模块，该模块包括：用于与蜂窝网络通信的调制解调器；以及连接至所述调制解调器用于蜂窝网络验证和接入的接入电路，该接入电路包括安全元件或者连接至安全元件，其中，状态机配置为根据多个可用性状态中的一个对所述设备进行控制，该多个可用性状态包括至少正常状态和告警状态，其中，在所述告警状态中所述处理单元的操作被抑制。

在一个实施方式中，安全元件包括不可拆卸地连接至处理单元的电路。

在一个实施方式中，接入电路形成嵌入式通用集成电路卡(eUICC)的一部分。

在一个实施方式中，所述安全元件形成eUICC的一部分。

在一个实施方式中，所述接入电路形成可拆卸的用户身份模块(SIM)卡的一部分。

在一个实施方式中，所述模块包括具有用于设置所述处理单元的所述可用性状态的应用和寄存器的安全域。

在一个实施方式中，所述安全元件配置为在告警状态下阻止针对所述处理单元对系统时钟的启用。

在一个实施方式中，所述安全元件配置为在告警状态下阻止对所述处理单元的供电电压。

在一个实施方式中，所述安全域可以通过所述调制解调器由无线电信令来访问以设置可用性状态。

在一个实施方式中，该模块包括定位单元或者连接至定位单元，该定位单元配置为确定所述模块的位置。

在一个实施方式中，所述模块配置为在所述告警状态中发送位置数据。

在一个实施方式中，调制解调器、接入电路和安全元件设置在独立的芯片组中。

在一个实施方式中，所述独立芯片组和所述处理单元安装在公共基板上，其中，所述模块被连接以选择性地阻止对针对所述处理单元的所述供电电压或系统时钟的接入。

根据第二方面，提供了一种通过模块来控制设备的处理单元的可用性的方法，该模块包括：用于与蜂窝网络通信的调制解调器；连接至所述调制解调器用于蜂窝网络验证和接入的接入电路；安全元件；以及状态机，该方法包括以下步骤：

-在所述设备加电时，启动所述模块；

-通过所述状态机确定所述处理单元的可用性状态集合；

-响应于确定所述可用性状态为告警状态而抑制所述处理单元的操作。

在一个实施方式中，在启动该模块后，该方法包括以下步骤：

-通过所述调制解调器建立网络链接；

-从所述网络获得在线可用性状态请求；

-根据所述请求在所述安全元件中设置所述可用性状态。

附图说明

下面将参照附图说明本发明的多种实施方式，其中

图1例示了根据一个实施方式的对设备的处理单元的可用性进行控制的模块；

图2示意性例示了根据一个实施方式的形成在公共载体(carrier)上的接入电路和安全元件；

图3示意性例示了根据一个实施方式的对图1实施方式进行操作的处理的流程图；以及

图4A和图4B例示了对告警状态下的设备的可用性进行控制的处理。

具体实施方式

在下面的描述中，出于解释而不是限制的目的，此处阐述了与多种实施方式有关的细节。然而，对本领域技术人员而言，在脱离这些具体细节的其他实施方式中也可以实施本发明。在一些示例中，为了使不必要的细节不会模糊本发明的描述，省略了对公知设备、电路和方法的详细说明。

包括功能块的多种元件的功能可以通过使用例如电路硬件和/或能够执行存储在计算机可读介质上的编码指令形式的软件的硬件之类的硬件来提供，这些功能块包括但不限于被标记或描述为“计算机”、“处理器”或“控制器”的功能块。因此，这种功能或者所例示的功能块应当被理解为是硬件实现的和/或计算机实现的，并且因此是机器实现的。就硬件实现而言，功能块可以包括或包含但不限于数字处理器(DSP)硬件、精简指令集处理器、包括但不限于专用集成电路[ASIC]的硬件(例如，数字或模拟)电路，以及(在适当情况下)能够执行这种功能的状态机。就计算机实现而言，计算机通常被理解为包括一个或更多个处理器或者一个或更多个控制器，并且术语计算机和处理器及控制器在此处可以互换使用。当由计算机或处理器或控制器提供时，这些功能可以由单个专用计算机或处理器或控制器提供、由单个共享计算机或处理器或控制器提供、或者由多个独立的计算机或处理器或控制器(它们中的一些可以共享或者是分布式的)提供。此外，术语“处理器”或“控制器”的使用还可以理解为指代能够执行这种功能和/或执行软件的其他硬件，例如上面描述的示例性硬件。

图1例示了用于控制设备1的可用性的模块10的一个实施方式，该模块10可以用于包含例如中央处理器(CPU)之类处理单元2的任何类型设备1。模块10包括用于与蜂窝网络通信的调制解调器11、连接到调制解调器11用于蜂窝网络验证和接入的接入电路12。该模块可以包括天线或者连接至天线，该天线用于借助天线与图1中所示的蜂窝网络14进行无线电传输。接入电路包括安全元件12或者连接至安全元件12，该安全元件12包括通过可执行计算机代码而生效的状态机。状态机可以被配置为根据多个可用性状态(包括至少两个状态)中的一个来控制设备1。这些状态包括至少正常状态，其可以表示允许或支持设备1的处理单元2的正常操作的状态。此外，该多个状态包括抑制处理单元2的操作的告警状态。模块10是自治的并且由自身进行操作，这意味着不依赖于例如处理单元2的任何其他实体来变得可操作。

在一个实施方式中，安全元件包括不可拆卸地连接至处理单元的电路。安全元件电路可以焊接至处理单元处的公共电路板。在一个另选配置中，安全元件电路可以设置在不可拆卸地固定在读卡器中的电路卡上，该读卡器机械连接至处理单元。

在此处将要描述的优选实施方式中，接入电路形成嵌入式通用集成电路卡(eUICC)12的一部分。此外，优选的是安全元件也形成为eUICC 12的一部分。为此，应当注意的是，同一种硬件电路例如可以刷制(flashed)成作为UICC或者简单作为eSE工作，这可以由实现方式的选择来决定。在一个另选实施方式中，可以采用独立的嵌入式安全元件(eSE)，其具有与eUICC分开的安全元件电路。在这种独立的eSE提供安全元件的另一个实施方式中，可以与提供接入电路的标准可拆卸的用户身份模块(SIM)卡组合在一起。

嵌入式eUICC 12优选地与用于空中配置的标准兼容，并且保持有具有蜂窝网络接入能力的安全域。该安全域，还称为根安全域，包括用于管理并维持与设备1的可用性有关的状态的必要的应用和寄存器，换言之，状态机。所允许的状态的范围在选择实现方式时限定。作为严格最低限度，需要限定告警状态和正常状态。当eUICC的状态机设置为告警状态时，除非解除了告警并且设备1回到正常状态下的正常操作，否则设备1不可操作，如实现方式所限定的那样。可通过实现方式的选择来限定可操作性的精确限定，但告警状态意味着不能根据意愿使用设备1，并且已经实现了必要的措施来避免未经许可的状态改变。

图2示意性例示了UICC 12形式的组合接入电路和安全元件。该UICC例如可以是eUICC，或者例如是UICC，其以其他方式不可拆卸地连接至调制解调器11，并进而连接至受控制的设备1的处理单元2。eUICC 12包括电路和配置为存储用于形成eUICC操作软件(OS)121的程序代码的存储器装置。eUICC OS 121配置为实现与eUICC的域管理集成的告警管理。为此，eUICC 12包括根安全域122。嵌入式UICC不应使得根安全域122被删除，但在设备主定义中集成了蜂窝连接的情况下(意味着设备本身已经包括调制解调器)可以安装并激活其他安全域。在告警的情况下，eUICC OS 121必须确保告警事件提供到负责状态控制的根安全域。

根据优选实施方式，一旦嵌入式UICC 12接收到经验证的告警，根安全域122将感知到该告警以执行模块10所连接到的设备1的可用性控制。在一个实施方式中，该模块总是以根安全域122启动，并且一旦确定了可用性状态(即正常状态)就可以转换到用户域。

模块1可通过蜂窝网络远程访问，并且eUICC的状态可以通过经验证的远程服务来远程控制。经验证的远程服务应被允许询问eUICC 12的状态并请求状态改变。

该模块被配置为控制设备的处理单元2的可操作性，例如通过控制启用处理单元2的系统时钟或者供电电压。该控制可以借助连接至处理单元2的数据设置或信号来数字地执行。在一个另选实施方式中，控制可以借助数字开关来执行，该数字开关由模块10控制以选择性允许或抑制到处理单元2的信号或电力。在模块处于告警状态的情况下，处理单元的可操作性被抑制或完全禁止，并且设备不能启动以变得可操作。在设备可完全操作时接收到告警的情况下，该模块被设置为告警状态，并且立即关闭。依赖于实现方式的选择，设备1可以配置成执行跟踪以向网络发送其位置或者仅仅是关机，或者其可以进入低功率跟踪模式以向经验证的远程服务持续报告状态和位置。在这种实施方式中，模块10可以包括定位单元13，例如GPS接收器。所获得的位置信息和潜在的与设备有关的其他信息可以根据协议转发到经验证的所有者或实体。

告警可以从设备本身上的经验证的服务触发，或者通过蜂窝网络从经验证的远程服务广播，但可以优选地仅远程解除。这允许实现自请求机制，其中，设备本身请求状态改变。在这种实施方式中，状态改变请求事件可以是自触发的。例如，其可以依赖于时间，如自锁定定时器或者甚至可以是在加电时的默认状态。另选地，或者相结合，由定位单元13确定的设备的位置可以作为模块10进入告警模式的触发器。另选地，或者相结合，在被制造时模块10可以设置为告警并且在销售时被远程解锁。在另一种另选实施方式中，当设备关闭时可以被默认命令为告警模式，使得其总是以告警状态启动。

在优选实施方式中，模块10作为独立的芯片组提供，其包括调制解调器11、eUICC12和可能的定位单元13。在一个实施方式中，该独立的芯片组可以设置在例如PCB的公共基板16上作为处理单元2。模块10和处理单元2随后连接在PCB 16上，使得模块10能够抑制处理单元2的正当操作，例如通过能够断开对供电电压或系统时钟信号的接入。

图3示意性示出了表示由例如设置在eUICC 12上的模块10来控制设备1的一个实施方式的流程图，模块10包括调制解调器11、接入电路和安全元件。

加电301通常由用户发起，例如通过按下所涉及的设备1上的按钮等。当设备包括根据此处所描述的实施方式的模块时，在加电时首先发生的是模块的引导(boot)302，亦即安全元件12(例如eUICC)和调制解调器11的引导。

如果调制解调器11能够上线，则执行在线状态控制303。这可以通过模块10被设置为向其中工作的蜂窝网络实际发送寻呼信号从而触发状态信号304发送回模块10来实现。在一个另选实施方式中，该模块可以简单配置为监听或测量在服务网络中广播的信号中的预定信号304或数据值304，以确定是否存在任何目前状态改变请求。确定是否发生了状态改变请求事件可以包括进一步的步骤。作为示例，从网络接收的信息可以指示新的位置规则，因此在确定是否存在实际的状态改变请求事件之前需要从模块10中的定位单元13获得位置数据。在该步骤303中，通常还给予对预先存储的离线状态值的访问。

如果在阶段303中确定了特定新状态，则在305中更新安全域的状态引擎，其中在模块重新启动306后对模块进行再次引导302。

如果在在线状态控制阶段303确定不存在状态改变事件，则模块10的状态机配置为在307处根据其预先存储的离线数据工作。如果离线状态为正常，则模块将进行到在308允许导设备1的处理单元2，然后设备的操作将继续不被抑制。在另一方面，如果预先存储的离线状态被设置为告警，则模块可以被配置为通过操作定位单元13而进入跟踪模式309。在一个实施方式中，这可以包括允许处理单元2引导，并且使模块10在秘密模式收集定位数据并将其报告给网络。在另一个实施方式中，在不引导处理单元的情况下进入跟踪模式309。由此使得设备1无用，或者至少具有被抑制的操作特性。

在模块10不能在引导302时上线的情况下，该模块被配置为在离线状态控制下操作301。这使得必须要检查存储在引导域中的状态信息，然后相应地继续。在一个实施方式中，状态机被配置为使得如果不能连接到网络并上线，则该模块应掉电311。在另一个实施方式中，例如可以从该模块上一次加电起，将实际存储的状态记录在引导域中。在另一个实施方式中，如已经描述的，预先存储的默认值也可以依赖于位置。

如果离线状态控制得到状态被确定为正常，则处理单元2被引导308，并且使得设备1能够操作。另一方面，如果确定存在告警状态，该模块可以被配置以掉电311。

当处理单元已经引导308并且设备1可操作时，模块10将继续监监测状态改变请求事件304，该状态改变请求事件或者是从网络接收的，或者是例如由事件和/或位置触发之类的其他原因造成。

在设备被离线设置为告警模式的情况下，优选地可以在正确的用户验证312后改变离线状态。这可以以无线方式来实现，例如可以借助NFC(如果模块10(未示出)中包含NFC接收器)通过与总线的电流接触(galvanic contact)，或者通过在例如触摸屏这样的用户接口上的输入。

图4例示了通过无线电控制来保护设备1的完全操作的模块10的示例的实施方式。这是通过与受控的设备1的处理单元2连接的模块10的调制解调器11和eUICC 12获得的。该模块可以采用参照图1和图2描述的实施方式的形式，但为了简化起见省略了特定的细节，例如可选的公共基板16。

在图4A中，eUICC 12的安全元件OS 121可以配置为根据正常状态运行，例如在开放域中，使用活动业务提供商配置文件，利用应用和数据的特定集合。为此，模块10被配置为接收通过蜂窝网络由无线电传送的状态请求信号。在该正常状态下，设备处理单元2可完全操作，或者至少未被模块10抑制。箭头表示了入局网络锁定请求，在该实施方式中，状态请求信号包括数据，该数据在模块10中被解释为告警状态请求。该数据可以是经编码的信息，或者简单地是预定字符的信号，其在模块中被识别为具有告警请求信号含义。

当调制解调器接收并解释了锁定请求时，将对模块10本身产生影响，并且对其被设置以控制的设备1产生影响。模块10被配置为响应于告警状态请求而从活动业务提供商域切换到根域122。另选地，如果仅存在根域122，则根域122被设置为安全模式，在安全模式中其作为状态机工作。

图4B例示了工作在根安全域中的模块10如何通过抑制设备处理单元2的操作而激活了告警状态。在一个实施方式中，这通过拒绝或干扰对针对处理单元2的系统时钟14或者需要的针对处理单元2的供电电压15的接入或者这二者来实现。

通过从告警状态到正常状态的改变，可以执行设备1的解锁。这优选地借助通过网络发送状态请求信号来实现，该状态请求信号包括在模块10中被解释为正常状态请求的数据。与图4A的情形类似，正常状态请求可以借助调制解调器11通过无线电来接收。这种解锁请求将造成eUICC的解锁，随后，解锁的eUICC将操作以使状态机从告警状态切换到针对设备1的控制的正常状态。在该处理中，优选地允许处理单元完全操作。随后，eUICC 12和调制解调器10优选地被重新引导，以允许启动所选择的活动档案文件。

以上针对特定实施方式在一般水平上讨论了本发明的实施方式。模块10可以配置为用于控制不同类型的设备1，例如汽车、照相机。计算机、电视机等，即使该设备不包括蜂窝网络能力。所述实施方式共同之处在于对模块的网络控制与对设备的操作分开，从而在不同状态下对设备1的控制可以涉及抑制该设备的处理单元的完全操作。本领域技术人员将意识到，在不对立的情况下，上述公开的实施方式能够以多种组合形式相结合。

Claims

1.一种用于控制设备的处理单元的可用性的模块，该模块包括：用于与蜂窝网络通信的调制解调器；以及连接至所述调制解调器用于蜂窝网络验证和接入的接入电路，该接入电路包括或者连接至安全元件，其特征在于：状态机配置为根据多个可用性状态中的一个对所述设备进行控制，该多个可用性状态包括至少正常状态和告警状态，其中，在所述告警状态中所述处理单元的操作被抑制。

2.根据权利要求1所述的模块，其中，所述安全元件包括不可拆卸地连接至所述处理单元的电路。

3.根据权利要求1或2所述的模块，其中，所述接入电路形成嵌入式通用集成电路卡eUICC的一部分。

4.根据权利要求3所述的模块，其中，所述安全元件形成所述eUICC的一部分。

5.根据权利要求2所述的模块，其中，所述接入电路形成可拆卸的用户身份模块SIM卡的一部分。

6.根据前述权利要求中任一项所述的模块，所述模块包括安全域，该安全域包括用于设置所述处理单元的所述可用性状态的应用和寄存器。

7.根据前述权利要求1-6中任一项所述的模块，其中，所述安全元件配置为在所述告警状态下阻止针对所述处理单元的系统时钟启用。

8.根据前述权利要求1-6中任一项所述的模块，其中，所述安全元件配置为在所述告警状态下阻止对所述处理单元的供电电压。

9.根据权利要求6所述的模块，其中，所述安全域能够通过所述调制解调器由无线电信令来访问以设置可用性状态。

10.根据前述权利要求中任一项所述的模块，所述模块包括定位单元或者连接至定位单元，该定位单元配置为确定所述模块的位置。

11.根据权利要求10所述的模块，其中，所述模块配置为在所述告警状态中发送位置数据。

12.根据权利要求1所述的模块，其中，所述调制解调器、所述接入电路和包括所述状态机的所述安全元件设置在独立的芯片组中。

13.根据权利要求12所述的模块，其中，所述独立的芯片组和所述处理单元安装在公共基板上，其中，所述模块被连接以选择性地阻止对针对所述处理单元的所述供电电压或系统时钟的接入。

14.一种通过模块来控制设备的处理单元的可用性的方法，该模块包括：用于与蜂窝网络通信的调制解调器；连接至所述调制解调器用于蜂窝网络验证和接入的接入电路；安全元件；以及状态机，该方法包括以下步骤：

-在所述设备加电时，启动所述模块；

-通过所述状态机确定所述处理单元的可用性状态集合；

15.根据权利要求14所述的方法，在启动所述模块的步骤后，所述方法包括以下步骤：

-通过所述调制解调器建立网络链接；

-从所述网络获得在线可用性状态请求；

-根据所述请求在所述安全元件中设置所述可用性状态。